Tokeny jako narzędzie do uwierzytelnienia i autoryzacji w Krajowym Systemie e-Faktur (KSeF) miały być używane tylko do końca 2026 r. Ministerstwo Finansów wzięło jednak pod uwagę postulaty zgłaszane przez przedsiębiorców i zdecydowało o zachowaniu tej metody. Ta zmiana dla wielu podmiotów oznacza dużą oszczędność pieniędzy i czasu. Kto skorzysta na zachowaniu tokenów?
Od początku prac nad Krajowym Systemem e-Faktur token był przedstawiany jako rozwiązanie przejściowe. Harmonogram był jasny: od 1 lutego 2026 r. równolegle działają tokeny i certyfikaty KSeF, a od 1 stycznia 2027 r. zostają wyłącznie certyfikaty.
– Zaktualizowany Podręcznik KSeF 2.0 mówi jednak co innego. Ministerstwo Finansów wskazuje w nim wprost, że wobec postulatów rynku metoda uwierzytelniania tokenem zostaje zachowana bezterminowo, a przepisy rozporządzenia zostaną do tego dostosowane. Oznacza to, że przedsiębiorcy nie będą musieli przeprowadzać migracji na certyfikaty pod presją daty granicznej, a dostawcy oprogramowania nie będą musieli wyłączać działającego mechanizmu integracji – podkreśla Piotr Juszczyk, główny doradca podatkowy inFaktu.
Kto najwięcej skorzysta na tej zmianie?
– Największą różnicę widać w podmiotach, które nie są osobami fizycznymi. Certyfikat KSeF wydany na dane spółki można uzyskać dopiero po uwierzytelnieniu się kwalifikowaną pieczęcią elektroniczną, a to jest wydatek rzędu ponad tysiąca złotych, do tego rozłożony w czasie, bo pieczęć trzeba zamówić, odebrać i skonfigurować. W spółce, w której nikt wcześniej nie potrzebował pieczęci, sam obowiązek jej nabycia bywał postrzegany jako podatek od wejścia do KSeF – mówi Piotr Juszczyk.
Zapowiadaną zmianę uważa tę decyzję za dobrą, zwłaszcza w kontekście spółek.
– Dotąd droga do firmowego certyfikatu prowadziła przez kwalifikowaną pieczęć elektroniczną, a to rozwiązanie sporo kosztuje. Token jest po prostu prostszy, a integracja z programem księgowym czy systemem ERP jest przy nim łatwiejsza. Dla wielu mniejszych spółek to różnica między wdrożeniem, które trwa popołudnie, a wdrożeniem, które trwa dwa tygodnie i zaczyna się od faktury za pieczęć – zwraca uwagę główny doradca podatkowy inFaktu.
Jakie są różnice?
Dodaje, że warto rozumieć, czym te dwa narzędzia różnią się od strony funkcjonalnej, bo to nie jest wybór między dwoma wariantami tego samego.
– Certyfikat KSeF jest wyłącznie środkiem uwierzytelnienia, potwierdza tożsamość i nic poza tym. Certyfikat jest trochę jak dowód osobisty. Po zalogowaniu się nim system bierze pod uwagę pełen zakres uprawnień przypisanych do właściciela, czyli praktycznie mamy dostęp do wszystkiego. Token działa inaczej, ponieważ zakres uprawnień deklaruje się w momencie jego generowania i można go świadomie zawęzić, na przykład wyłącznie do wystawiania faktur albo wyłącznie do ich pobierania – mówi Piotr Juszczyk.
Token trzeba go traktować tak jak dane do logowania do bankowości elektronicznej. Różnica polega na tym, że przy tokenie można z góry ograniczyć skalę potencjalnej szkody, a przy certyfikacie tej możliwości nie mam.
– Dlatego dobrze, że tokeny pozostaną i że firmy będą miały wybór, zamiast być wpychane w jedno rozwiązanie niezależnie od swojej struktury i skali. Certyfikaty nie tracą przy tym racji bytu, wręcz przeciwnie. Certyfikat typu drugiego pozostaje niezbędny do oznaczania faktur kodem potwierdzającym tożsamość wystawcy przy fakturowaniu w trybach szczególnych, czyli offline24, w trybie niedostępności systemu oraz w trybie awarii. Token tego nie zastąpi. Można więc powiedzieć, że sensowny model docelowy w wielu firmach to jedno i drugie: token do codziennej integracji i certyfikat na wypadek pracy poza systemem – tłumaczy Piotr Juszczyk.
Rekomendacja dla spółek
Na dziś zapowiedź jest w podręczniku, a nie w Dzienniku Ustaw. Rozporządzenie w sprawie korzystania z KSeF nie zostało jeszcze znowelizowane, a informacja o wygaszeniu tokenów z początkiem 2027 r. wciąż funkcjonuje w części materiałów opublikowanych wcześniej. Podręczniki Ministerstwa Finansów nie są źródłem prawa, więc do czasu publikacji nowelizacji jest to deklaracja zmiany, a nie stan prawny.
– W praktyce oznacza to jedno zalecenie. Nie odkładałbym przygotowania systemów do obsługi certyfikatów tylko dlatego, że tokeny mają zostać. Firmy, które są w trakcie takiej migracji, powinny ją dokończyć, bo certyfikat i tak będzie im potrzebny do trybów offline. Firmy, które jeszcze nie zaczęły, zyskały natomiast to, czego brakowało im najbardziej przy tym wdrożeniu, czyli czas i możliwość wyboru – podkreśla główny doradca podatkowy inFaktu.